ISO 27031 — Sadržaj

Dobrodošli na centralnu stranicu serije o ISO/IEC 27031 na blogu InfoSec bez stresa!

Ova stranica je mapa puta kroz IRBC (IKT spremnost za kontinuitet poslovanja) — standard koji spaja ISO 27001 (bezbednost informacija) i ISO 22301 (kontinuitet poslovanja) na terenu IT sektora. Kroz celu seriju pratimo fiktivnu firmu VoxServis d.o.o. — kontakt centar sa 560 zaposlenih i hibridnom infrastrukturom (on-premise + cloud) — i jedan konkretan rizik (zavisnost identiteta) koji prolazi kroz ceo standard, od prepoznavanja do testirane spremnosti.

---

1. Uvod u ISO 27031 (Pre nego što počnete)

Šta je IRBC, kako se razlikuje od klasičnog DR plana, zašto je hibridna infrastruktura poseban izazov, i realan trošak uvođenja.

• ISO 27031: Šta se dešava kada IT prestane da radi
  Šta je ISO/IEC 27031, pojam IRBC, i kako se uklapa uz ISO 27001 i ISO 22301.
• ISO 27031: DR plan koji imate vs. IRBC koji vam treba
  Zašto tehnički ispravan plan oporavka ume da bude potpuno beskoristan.
• ISO 27031: Hibridna infrastruktura i model deljene odgovornosti
  Šta cloud provajder stvarno garantuje, a šta ostaje vaša odgovornost.
• ISO 27031: Realan trošak i pristup uvođenju IRBC-a
  Gde se para opravdano troši, gde se rasipa, i kako izgleda razuman prvi korak.

---

2. ISO 27031 klauzula po klauzula (Glavna serija)

Sistematski prolazak kroz IRBC strukturu standarda, objašnjen običnim jezikom, sa primerom za svaku klauzulu.

Klauzula 6 — Integracija IRBC-a u BCM

• ISO 27031: Upravljanje IRBC-om i usklađivanje sa ciljevima kontinuiteta (klauzula 6.1–6.3)
  Priroda rizika prekida, opšte znanje o spremnosti IT elemenata, i zašto ciljevi IRBC-a moraju da prate pet dimenzija spremnosti, ne samo brzinu oporavka.
• ISO 27031: Rizik, incidenti i BCM strategija kao okvir za IRBC (klauzula 6.4–6.6)
  Kad rizik dostupnosti ulazi u risk registar, kad se aktivira IRBC, i kako BCM strategija diktira šta IT mora da isporuči.

Klauzula 7 — Poslovna očekivanja od IRBC-a

• ISO 27031: Poslovna očekivanja od IRBC-a – rizik, BIA i zavisnosti (klauzula 7)
  Kako BIA silazi do nivoa pojedinačnih IT servisa, i zašto spisak dobavljača bez provere RTO nije dovoljan.

Klauzula 8 — Definisanje preduslova za IRBC

• ISO 27031: Priprema pre incidenta – odgovor, temelji i postavljanje ciljeva (klauzula 8.1.1–8.1.4)
  Kad IT incident postaje IRBC pitanje, i korak-po-korak postavljanje ciljeva detekcije i odgovora.
• ISO 27031: Koristi, redundansa opreme i ciljani RTO/RPO – zatvaramo klauzulu 8 (8.1.5–8.2)
  Koristi IRBC-a za razgovor sa menadžmentom, nivoi redundanse opreme, i kako se određuje MBCO.

Klauzula 9 — Određivanje IRBC strategija

• ISO 27031: Određivanje IRBC strategija – opšti pristup, veštine i objekti (klauzula 9.1–9.2.3)
  Sedam obrazaca IRBC strategije, sprečavanje zavisnosti od jedne osobe, i izbor alternativne lokacije.
• ISO 27031: Tehnologija, podaci, procesi i dobavljači – zatvaramo klauzulu 9 (9.2.4–9.2.7)
  Trinaest faktora za tehnološku strategiju, tok podataka od kraja do kraja, i šta treba da stoji u ugovoru sa dobavljačem.

Klauzula 10 — Određivanje IKT plana kontinuiteta

• ISO 27031: Preduslovi za razvoj IKT plana kontinuiteta (klauzula 10.1)
  Ko formalno vodi oporavak, faze vremenske linije prekida, i zašto redundansa u istoj prostoriji ne štiti ni od čega.
• ISO 27031: Aktivacija plana i sadržaj IKT plana oporavka (klauzula 10.2–10.3)
  Tok aktivacije i eskalacije, vrući/topli/hladni standby na nivou lokacije, i zašto plan ne sme zavisiti od sistema koji je pao.
• ISO 27031: Privremena rešenja i spoljni kontakti – zatvaramo klauzulu 10 (10.4–10.5)
  Kako izgleda dobro privremeno rešenje, i zašto dobavljač mora da izdrži istovremenu aktivaciju za više klijenata.

Klauzula 11 — Testiranje, vežbe i audit

• ISO 27031: Kriterijumi učinka i program testiranja (klauzula 11.1–11.2.3)
  Kvalitativni vs kvantitativni kriterijumi učinka, postepen program vežbi, i osam razloga zašto se uopšte vežba.
• ISO 27031: Vođenje vežbe, učenje iz testova i audit – zatvaramo klauzulu 11 (11.2.4–11.5)
  Referentni okvir vežbe, četiri faze od familijarizacije do digitalne otpornosti, i godišnji audit IRBC-a.

Klauzula 12–13 — Finalni MBCO i odgovornost menadžmenta

• ISO 27031: Finalni MBCO i odgovornost top menadžmenta (klauzula 12–13)
  Samo dve opcije kad postoji jaz u spremnosti, i zašto finalni izbor strategije mora biti odluka top menadžmenta.

---

3. Primena u praksi

Kako se sve iz standarda pretvara u konkretan, hronološki plan — od prve nedelje do godišnjeg ritma.

• ISO 27031: Prvih šesnaest nedelja – plan primene od nule do prve testirane spremnosti
  Fazni, nedelju-po-nedelju plan za jedan kritičan servis, sa referencom na svaku klauzulu odakle korak dolazi.
• ISO 27031: Posle prvog kruga – širenje, integracija i godišnji ritam
  Širenje na ostale servise, integracija sa ISO 27001/22301 umesto paralelnog sistema, i godišnji operativni ritam.

---

4. Čeklista

• ISO 27031: Čeklista za samoprocenu IRBC spremnosti
  Sedam oblasti, preko trideset konkretnih pitanja, i uputstvo kako da pročitate rezultat.

---

Stranica se redovno osvežava sa svakim novim objavljenim tekstom u seriji.